(趣旨)

第1条　この要綱は、安平町教育活動における情報セキュリティに関する規則(令和3年安平町教育委員会規則第3号。以下「規則」という。)第6条の規定に基づき、安平町の教育活動における情報セキュリティ対策を実施するために必要となる統一的な基準を定めるものとする。

(定義)

第2条　この要綱において使用する用語は、規則において使用する用語の例による。

(最高情報統括責任者)

第3条　町に最高情報統括責任者を置く。

(情報ネットワーク管理者)

第4条　教育委員会等に情報ネットワーク管理者を置く。

(情報セキュリティ管理者)

第5条　教育委員会等に情報セキュリティ管理者を置く。

(情報ネットワーク担当者)

第6条　教育委員会等に情報ネットワーク担当者を置く。

(システム管理担当者)

第7条　情報セキュリティ管理者は、所管組織に情報システムを有する場合には、その運用及び管理を行うシステム管理担当者を指名し、情報システムを適切に管理しなければならない。

(総合的な推進及び調整に係る組織)

第8条　教育委員会等における情報セキュリティ対策の総合的な推進及び調整は、情報セキュリティ会議が行う。

(情報の分類)

第9条　教育委員会等は、すべての情報を適切に取り扱い、かつ、保護するために次に掲げる重要性分類に基づき分類しなければならない。ただし、情報システムで扱う情報について、第三者が重要性の識別を容易に認識できないように留意しなければならない。

(情報の管理)

第10条　情報セキュリティ管理者は、所管する情報を前条第1項の分類に従い、責任をもって適正に管理しなければならない。

(職員等の役割及び責任)

第11条　職員等は、情報セキュリティ対策の実施に当たり、次に掲げる役割及び責任を有する。

(法令等の遵守)

第12条　職員等は、情報資産の使用において、関係法令及び使用するソフトウェアの使用許諾契約を遵守しなければならない。

(パスワードの管理)

第13条　職員等は、自己の保有するパスワード(以下「パスワード」という。)を他の者に不正に使用されないよう、次に掲げる項目を遵守し、厳重に管理しなければならない。

(認証に用いるカード等の管理)

第14条　職員等は、個人認証又は所属認証に用いるカード等を利用する場合は、次に掲げる項目を遵守し、厳重に管理しなければならない。

(個人所有機器の使用禁止)

第15条　職員等は、重要情報の漏えい、コンピュータウイルスの感染等を防止するため、個人が所有する端末を持ち込み、業務に使用してはならない。

(端末の使用)

第16条　職員等は、使用を許可された端末を最大の注意義務をもって使用しなければならない。

(業務に利用するソフトウェア)

第17条　職員等は、端末の誤動作、コンピュータウイルスの感染等を防止するため、定められたソフトウェア以外のソフトウェアを端末に導入してはならない。

(端末環境の変更)

第18条　職員等は、端末の誤動作、保守の困難化等を防止するため、端末に対し、設定の変更、端末の改造及び周辺機器の増設を行ってはならない。

(職員によるコンピュータウイルス対策)

第19条　職員等は、端末へのコンピュータウイルス感染を防止するため、次に掲げる事項を遵守しなければならない。

(離席時の端末設定)

第20条　職員等は、情報漏えい及び不正操作を防止するため、離席するときは、パスワード入力が必要な画面に戻す等、情報システムの業務内容及び機能に応じて適切な対策を講じなければならない。

(情報セキュリティに関する啓発及び周知)

第21条　最高情報統括責任者は、職員等に対し、情報セキュリティについての啓発を行わなければならない。

(外部委託事業者に対する指導)

第22条　情報セキュリティ管理者は、外部委託事業者等に情報資産を取り扱わせる場合は、規則、この要綱及び実施手順の内容を遵守させる等取扱いに関する適切な指導を行わなければならない。

(執務室等での管理)

第23条　執務等を行う場所(以下「執務室等」という。)の施設に関する警備、施錠等の物理的情報セキュリティ対策は、施設の管理責任者及び情報セキュリティ管理者が行わなければならない。

(管理区域の設置)

第24条　職員等は、不正な侵入等から情報資産を保護するため、サーバ等の管理及び運用を行うための部屋(以下「電算室」という。)について、可能な限り次に掲げる措置を講じなければならない。

(機器の取付け等)

第25条　情報セキュリティ管理者は、機器を設置する場合には、それら機器の安定稼動を確保し、それら機器の損傷、配線の損傷及び物理的な不正アクセスを防止するため、可能な限り次に掲げる措置を講じなければならない。

(機器の設置環境等)

第26条　情報セキュリティ管理者は、サーバ等を設置する場合には、機器の安定稼動環境を確保するため、次に掲げる措置を講じなければならない。

(電算室以外でのサーバ等の設置)

第27条　情報セキュリティ管理者は、第24条に規定する電算室以外にサーバ等を設置する場合には、設置場所における情報セキュリティ対策について次に掲げる事項について調査し、情報ネットワーク管理者と協議のうえ、当該設置場所について最高情報統括責任者の許可を得なければならない。

(記録媒体の管理)

第28条　職員等は、重要情報の盗用、漏えい、紛失、破損等を防止するため、記録媒体について、次に掲げる項目を遵守し、適切な管理を行わなければならない。

(記録媒体の廃棄)

第29条　職員等は、重要情報を記録した記録媒体を廃棄するときには、情報の漏えいを防止するため、情報ネットワーク管理者及び情報セキュリティ管理者の許可を得ることとし、記録媒体処理簿(様式第5号)に記載するとともに、物理的に破壊する等情報を復元できないように対処したうえで廃棄しなければならない。

(出力物の管理)

第30条　職員等は、情報システムにおける情報が記載された紙等のうち、重要情報が記載されたものについては、情報の盗用、漏えい等を防止するため、次に掲げる項目を遵守し、厳重に管理しなければならない。

(外部への記録媒体及び機器の持ち出し)

第31条　職員等は、重要情報の盗用、漏えい、紛失、破損等を防止するため、記録媒体及び機器を外部に持ち出してはならない。

(アクセス制御)

第32条　情報ネットワーク管理者は、情報の盗用及び漏えい並びに不正なアクセス等を防止するため、所管するサーバ等のアクセス権限を明確にし、アクセス権限に基づくアクセス制御を行わなければならない。

(管理者権限)

第33条　情報ネットワーク管理者は、サーバ等の不正な使用、情報の盗用、漏えい等を防止するため、サーバ等の管理者権限を必要最小限の職員等に与え、管理者権限によるサーバ等へのアクセスを必要最小限とするよう指導するものとする。

(利用者ID等の管理)

第34条　情報ネットワーク管理者は、利用者の登録、変更、抹消、情報の管理、異動や町外への出向等の職員等及び退職者IDの取扱い等については、定められた方法に従って適切に管理し、サーバ等へのログインに関して、不正なログインを防止するため、利用者IDの設定及びパスワードの設定等の対策を講ずるものとする。

(アクセス記録等の取得)

第35条　情報ネットワーク管理者は、情報システムの不正な使用、改ざん等を防止するため、必要に応じて情報システムにおけるアクセス記録等の取得及び管理を行うものとする。

(システム管理の記録及び作業の確認)

第36条　情報ネットワーク管理者及び情報セキュリティ管理者は、所管システムにおいて行ったシステム変更等の処理について、必要に応じ作業記録を作成し、作業記録は、適切に管理を行うものとする。

(障害記録)

第37条　情報ネットワーク管理者及び情報セキュリティ管理者は、情報システムの障害に対する処理について、障害の発見及び発生の日時、障害の発生箇所、障害の種別(ハードウェア障害・ソフトウェア障害・その他)、障害の内容、障害の原因、被害の範囲、障害の対応内容、復旧の日時、再発防止の手順等を障害の実状に合わせて体系的に記録し、これを必要なときに活用できるよう管理を行うものとする。

(バックアップ)

第38条　情報ネットワーク管理者及び情報セキュリティ管理者は、サーバ等に記録された情報について、障害、破損等に備えて日次、週次、月次、情報更新時等情報システムの業務内容及び保有する情報の重要度に応じ、定期的に必要なバックアップを行わなければならない。

(情報システムの監視)

第39条　情報ネットワーク管理者及び情報セキュリティ管理者は、情報セキュリティに関する事案を検知するため、必要に応じて、サーバ等情報システムの稼動状態の監視を行い、監視により得られた結果は、安全な場所に保管しなければならない。

(標準ソフトウェア)

第40条　情報ネットワーク管理者は、端末の誤動作、コンピュータウイルス感染等を防止するため、端末において利用するソフトウェアを定めるものとする。

(ネットワークの通信制御)

第41条　情報セキュリティ管理者は、サーバ等及びネットワーク機器における不正使用を防止するため、ネットワークに関する通信制御を情報ネットワーク管理者と協議のうえ、行わなければならない。

(ネットワークの安全性確保)

第42条　情報ネットワーク管理者は、校内LANについて情報を安全かつ確実に伝送するための対策を講じなければならない。

(校内LANへの接続)

第43条　情報セキュリティ管理者は、校内LANにサーバ等、端末、ネットワーク機器等を接続する場合、事前に校内LAN機器接続許可申請書(様式第6号)により情報ネットワーク管理者の許可を得なければならない。

(校内LANの情報システム利用)

第44条　情報セキュリティ管理者は、校内LANを利用して新たな情報システムを開発又は導入しようとするときは、事前に情報ネットワーク管理者と協議しなければならない。

(外部との接続)

第45条　情報セキュリティ管理者は、校内LAN、サーバ等に外部からアクセスする仕組みを構築する場合、教育委員会等が管理する区域から専用回線又はインターネット等を通じて外部に設置した情報システムにアクセスする仕組みを構築する場合又は校内LAN以外(以下「外部ネットワーク」という。)との接続を行う場合には、情報セキュリティ技術面について情報ネットワーク管理者と協議をしたうえで、最高情報統括責任者及び情報ネットワーク管理者の許可を得なければならない。

(無線ネットワークの使用)

第46条　情報セキュリティ管理者は、無線ネットワークを使用する場合には、事前に情報ネットワーク管理者の許可を得なければならない。

(情報セキュリティ管理者によるコンピュータウイルス対策)

第47条　情報セキュリティ管理者は、コンピュータウイルスによる被害を防止するため、所管する情報システムにおけるコンピュータウイルス対策に関し、次に掲げる事項を実施しなければならない。

(情報システムの調達)

第48条　情報セキュリティ管理者は、情報システムを調達する場合には、調達に関する仕様書類の記載内容が情報セキュリティを確保するうえで問題にならないよう留意しなければならない。

(仕様書類の管理)

第49条　情報セキュリティ管理者は、情報システムへの不正なアクセス等を防止するため、所管する情報システムに関するシステム設計書、プログラム説明書、操作手引書等の仕様書類を適切に管理しなければならない。

(情報システムの開発、導入及び保守)

第50条　情報セキュリティ管理者は、情報システムの開発、導入及び保守における事故並びに不正行為対策のため、次に掲げる事項を遵守しなければならない。

(ソフトウェアの保守及び更新)

第51条　情報セキュリティ管理者は、情報セキュリティに影響を及ぼすソフトウェアの不具合について修正等を行う場合には、情報システムに影響を与えないかどうかを調査したうえで、速やかに必要な保守又は修正プログラムの適用によるソフトウェアの更新を実施しなければならない。

(機器の修理、廃棄及び返却)

第52条　情報セキュリティ管理者は、機器を修理及び廃棄する場合並びに借用した機器を返却する場合には、重要情報の盗用及び漏えいを防止するため、機器に保存されている情報の消去等を行い、当該情報が復元不可能な状態にしなければならない。ただし、当該契約において守秘義務及び情報セキュリティ対策について明記されている場合は、この限りではない。

(委託契約書への記載事項)

第53条　情報セキュリティ管理者は、情報システムの開発、運用、保守等を外部委託事業者に委託する場合には、委託に係る契約書に次に掲げる事項を必要に応じて明記しなければならない。

(外部委託事業者の管理状況等の調査)

第54条　情報セキュリティ管理者は、委託契約履行中の外部委託事業者に対し、必要に応じて当該委託に係る情報セキュリティ対策の実施状況について調査するものとする。

(情報セキュリティに関する情報の収集)

第55条　情報ネットワーク管理者は、情報セキュリティに関する事案が発生した場合に迅速かつ円滑に対処するため、情報セキュリティ技術の向上及び情報セキュリティに関する事案発生時の対応方法等に関する情報について、収集を行うものとする。

(情報セキュリティに関する事案への対応)

第56条　職員等は、情報セキュリティに関する重要な事案が発生した場合は、報告、証拠保全、被害拡大の防止、復旧等の必要な措置を迅速かつ円滑に実施し、再発防止の措置を講じるため、次に定める手順により対応しなければならない。

(情報セキュリティに関する事案の原因に対する警告)

第57条　情報ネットワーク管理者は、職員等が情報システムを業務目的以外で使用した場合には、情報セキュリティ管理者に通知し、適切な措置を求めなければならない。この場合において、改善されない場合には、使用を停止させ、又ははく奪することができる。

(監査)

第58条　情報ネットワーク管理者は、ネットワーク及び情報システムの調査又は監査を定期的に行わなければならない。

(点検)

第59条　情報セキュリティ管理者は、情報セキュリティ対策が適切に行われていることを確認するため、所管する情報システムの運用状況について点検を行うものとする。

(実施手順の見直し)

第60条　最高情報統括責任者は、調査又は監査、点検の結果等を踏まえて規則及びこの要綱の実効性を評価し、見直しが必要な場合は、速やかに改正しなければならない。

(整備)

第61条　この要綱に基づく実施手順又は具体的な対策については、各情報資産の運用状況等に合わせて検討を行い、情報システムごとに必要なものから速やかに整備するものとする。